• IT-Karriere:
  • Services:

Android-Updates: Krack-Patches für Android, aber nicht für Pixel-Telefone

Mit dem November-Patch für Android schließt Google wieder zahlreiche Sicherheitslücken. Traditionell dabei: der Medienserver. Aber auch einen Patch für Krack gibt es - doch diesen bekommen noch nicht einmal die Pixel-Geräte von Google selbst.

Artikel veröffentlicht am ,
Der kleine Androide wird im November wieder ordentlich gepatcht.
Der kleine Androide wird im November wieder ordentlich gepatcht. (Bild: Werner Pluta/Golem.de)

Google hat mit den November-Updates für das Android Open Source Project auch Patches für die WPA2-Sicherheitslücke Krack freigegeben. In diesem Monat gibt es drei verschiedene Patchlevel - und erstmals bekommen auch Googles eigene Smartphones nicht alle drei Patchlevel im November.

Stellenmarkt
  1. CPU Consulting & Software GmbH, Augsburg
  2. Freie und Hansestadt Hamburg, Hamburg

Denn nach Angaben von Ars Technica bekommen auch die Pixel-Geräte im November nur die Patchlevel 2017-11-01 und 2017-11-05. Der dritte Level 2017-11-06 soll auch für die Pixel- und Nexus-Geräte erst im Dezember ausgeliefert werden. In diesem Level sind die Patches für Krack enthalten. Google bestätigte dies. Android-Partner müssten unter Umständen weitere Patches von Zulieferern der Wi-Fi-Komponenten implementieren, schreibt das Unternehmen im Security Advisory. Da zahlreiche Apps TLS-Verschlüsselung nutzen und der Angriff derzeit sehr aufwendig durchzuführen ist, besteht derzeit kein Grund zur Panik.

Wie üblich hat Google zahlreiche weitere Sicherheitslücken geschlossen. Zwei Schwachstellen im Application-Framework ermöglichen Angreifern, weitere Rechte für Berechtigungen für Applikationen zu erlangen, ohne dass dafür eine Interaktion der Nutzer erforderlich wäre (CVE-2017-0830 und -0831).

Wieder dabei ist auch der Medienserver. Fast schon traditionell ist es möglich, mit Hilfe präparierter Dateien beliebigen Code mit weitreichenden Berechtigungen auszuführen. Alleine fünf verschiedene CVEs in diesem Bereich sind als "kritisch" eingestuft. Ähnliches ist auch auf Systemebene möglich, genauere Angaben gibt es dazu aber noch nicht.

Im zweiten Patchlevel behebt Google vor allem Fehler in Treiberkomponenten. Zwei Fehler im Netzwerk- und im WLAN-Stack ermöglichen Angreifern auch hier, beliebigen Code in einem privilegierten Prozess auszuführen. Fehler im Cross Core Communication Interface (CCCI) von Mediatek-Prozessoren und im Grafiktreiber von Nvidia ermöglichen ebenfalls die Ausführung beliebigen Codes.

Auch Qualcomm-Prozessoren können mit "speziell präparierten Dateien" dazu gebracht werden, Code in einem privilegierten Kontext auszuführen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 27,99€
  2. 9,99€
  3. 19,99€
  4. 49,99€

Hüendli 14. Nov 2017

Nur so, das Essential Phone bekam KRACK bereits ein paar Tage vor Googles November-Patch...

Takato 14. Nov 2017

Mein Nokia 5 hat heute das Update vom 6.11. erhalten. Wenn jetzt nocht die Bugs vom...

anonym 13. Nov 2017

Einstellungen -> über das Telefon -> Sicherheitspatchebene: 1., 5. oder 6. November. Ist...

_LC_ 13. Nov 2017

Fast schon traditionell ist es möglich, mit Hilfe präparierter Dateien beliebigen...


Folgen Sie uns
       


Tesla baut Gigafactory in Brandenburg - Bericht

Wald weg, Wasser weg, Tesla da? Wir haben Grünheide besucht.

Tesla baut Gigafactory in Brandenburg - Bericht Video aufrufen
Coronakrise: IT-Freelancer müssen als Erste gehen
Coronakrise
IT-Freelancer müssen als Erste gehen

Die Pandemie schlägt bei vielen IT-Freiberuflern schneller zu als bei Festangestellten. Schon die Hälfte aller Projekte sind gecancelt. Überraschung: Bei der anderen Hälfte läuft es weiter wie bisher. Wie das?
Ein Bericht von Peter Ilg

  1. Coronavirus Media Markt und Saturn stoppen Mietzahlungen
  2. Corona Besitzer von Media Markt Saturn beantragt Staatshilfe
  3. Coronakrise EU wertet Kontaktsperren mit Mobilfunkdaten aus

Golem Akademie: IT-Sicherheit für Webentwickler als Live-Webinar
Golem Akademie
"IT-Sicherheit für Webentwickler" als Live-Webinar

Wegen der Corona-Pandemie findet unser Workshop zur IT-Sicherheit für Webentwickler nicht als Präsenzseminar, sondern im Netz statt: in einem Live-Webinar Ende April mit Golem.de-Redakteur und IT-Sicherheitsexperte Hanno Böck.

  1. Golem Akademie Zeitmanagement für IT-Profis
  2. Golem Akademie IT-Sicherheit für Webentwickler
  3. In eigener Sache Golem-pur-Nutzer erhalten Rabatt für unsere Workshops

Half-Life Alyx im Test: Der erste und vielleicht letzte VR-Blockbuster
Half-Life Alyx im Test
Der erste und vielleicht letzte VR-Blockbuster

Im zweiten Half-Life war sie eine Nebenfigur, nun ist sie die Heldin: Valve schickt Spieler als Alyx ins virtuelle City 17 - toll gemacht, aber wohl ein Verkaufsflop.
Von Peter Steinlechner

  1. Actionspiel Valve rechnet mit Nicht-VR-Mod von Half-Life Alyx
  2. Half-Life Alyx angespielt Sprung für Sprung durch City 17
  3. Valve Durch Half-Life Alyx geht's laufend oder per Teleport

    •  /